瑞星卡卡安全论坛

中这个病毒好久了，解决不了。有大虾请赐教。

[用户系统信息]Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; CNCDialer; Maxthon; Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1) ; InfoPath.2; .NET CLR 2.0.50727)

提供一下病毒路径

C:\WINDOWS\Temp\~my1.tmp
        瑞星病毒查杀结果报告

清除病毒种类列表：
病毒： Trojan.Win32.Agent.ygo 

用户来源：局域网

软件版本：20.28.21
这是今天的瑞星上报。2008-01-24

而且在每次开机时都会有一个NL的木马标志的程序要访问，其程序名称如下：

nl7973b51.exe
nl51c03a87.exe
nlc6039b0.exe
nl266d3a24.exe
nl38ad7721.exe
nl5668775f.exe
nl6d9e4cba.exe
nl68751af9.exe
nl48b06dd4.exe
nl65717cb7.exe
nl39b54143.exe
7f441d08.exe
nl65e43ffb.exe
nl5bcb6b1c.exe
以上病毒的路径如下：
c:\windows\temp\nl295f5cb3.exe
在temp下还有一个~my2.tmp
这个不让删除，~my1.tmp这个可以删除，删除之后，一开机又有
请赐教。

病毒分类  WINDOWS下的PE病毒 病毒名称  Trojan.Win32.Agent.ygo 　 别    名    　 病毒长度    依赖系统    传播途径    　 行为类型  WINDOWS下的PE病毒 感    染    　 病毒发作 瑞 星 版 本 号 　  19.40.21

请高手~

建议先使用卡卡助手或windows清理助手清理一下恶意程序。
卡卡助手下载页面：http://tool.ikaka.com
windows清理助手下载页面：http://www.arswp.com/download.html
————————————————————————————————————————
然后使用System Repair Engineer扫描日志，将日志作为附件上传上来。
下载页面：http://kztechs.com/sreng/download.html
操作方法：
1、下载后解压缩sreng2.zip；
2、运行SREngPS.EXE；
3、依次点击【智能扫描】-【扫描】；
4、耐心等待，扫描结束后点击【保存报告】；
5、选择保存路径，文件名保持默认，直接点击【保存】；
6、打开保存的日志文件SREngLOG.log，完整复制全部内容，新建一个文本文档，将日志中的全部内容粘贴到“新建文本文档.txt”中；
7、将“新建文本文档.txt”作为附件上传，同时务必详细描述问题现象，如果有查杀不净的病毒务必提供病毒名和路径。
注意：扫描前请尽量关闭QQ、游戏、下载工具、媒体播放器等应用程序。

传上来了，先谢一下

刚玩这个论坛，找不到如何上传了

点击我这贴右下角的那个“引用”，就知道怎么发了。

引用:

【天月来了的贴子】点击我这贴右下角的那个“引用”，就知道怎么发了。 ………………

多谢指点

附件: 10070692008125104725.txt

务必断开网络链接后再进行以下操作；
————————————————————————————————————————
使用Xdelbox删除以下文件：
Xdelbox下载地址：http://www.dodudou.com/down/  打开后选择【原创软件】，下载XDelBox1.6。
Xdelbox使用方法：http://forum.ikaka.com/topic.asp?board=28&artid=8381032
使用时一定拔掉所有移动存储设备，将下面分隔线中的的文件信息全部复制，然后打开Xdelbox直接使用右键菜单的“剪贴板导入不检查路径”导入，勾选“抑制再生”、“驱动安全删除模式”、“备份文件”，最后选择右键菜单的“立刻重启删除”
————————————————————————————————————————
c:\windows\system32\msplrct.dll
c:\windows\system32\winlib .dll
c:\windows\system32\kaqhlzy.dll
c:\windows\system32\avzxlmn.dll
c:\windows\system32\okmhbzy.dll
c:\windows\system32\rsmyjpm.dll
c:\windows\system32\rarjepi.dll
c:\program files\common files\cpush\cpush.dll
c:\windows\system32\serdst.exe
c:\windows\system32\9e0a1.exe
c:\windows\system32\drivers\55yjv.sys
c:\windows\system32\drivers\949tl.sys
c:\windows\system32\drivers\mxdispdr.sys
c:\windows\system32\drivers\bootdrv.sys
c:\windows\system32\drivers\acpidisk.sys
c:\windows\system32\yg.dll
————————————————————————————————————————
重启计算机后会看到一个请选择要启动的操作系统的提示，倒计时5秒，
第一个选项是你自己的windows系统，
第二个选项是Xdelbox的Go XDelBox To Del Files，
默认自动选择第二项，会进入类似DOS的界面，这期间什么操作都不用做，等待它自动运行即可，
待病毒文件删除后会自动重启进入windows系统，
然后再按以下步骤操作：
————————————————————————————————————————
打开SREngPS.EXE，选择【启动项目】-【注册表】，将以下项删除：
[{C7D81718-1314-5200-2597-58790101807C}]    <C:\WINDOWS\system32\kaqhlzy.dll>
[{C859245F-345D-BC13-AC4F-145D47DA34FC}]    <C:\WINDOWS\system32\avzxlmn.dll>
[{2A57CAD1-412F-9547-713F-9641FA3FC7A2}]    <C:\WINDOWS\system32\okmhbzy.dll>
[{AE32FA58-3453-FA2D-BC49-F340348ACCEA}]    <C:\WINDOWS\system32\rsmyjpm.dll>
[{5598FF45-DA60-F48A-BC43-10AC47853D55}]    <C:\WINDOWS\system32\rarjepi.dll>
[{6D47B341-43DF-4563-753F-345FFA3157D6}]    <>
[{7671889D-CC99-4335-BAC8-48088F1045A4}]    <>
[{37C3125C-9CB6-4503-8F38-63D80ADEFA07}]    <>
[{4D561258-45F3-A451-F908-A258458226D4}]    <>
[{67D81718-1314-5200-2597-587901018076}]    <>
[{6E32FA58-3453-FA2D-BC49-F340348ACCE6}]    <>
[{34783410-4F90-34A0-7820-3230ACD05F43}]    <>
[{66650011-3344-6688-4899-345FABCD1566}]    <>
[{2598FF45-DA60-F48A-BC43-10AC47853D52}]    <>
[{5859245F-345D-BC13-AC4F-145D47DA34F5}]    <>
[{5C87A354-ABC3-DEDE-FF33-3213FD7447C5}]    <>
[{22FAACDE-34DA-CCD4-AB4D-DA34485A3422}]    <>
[{18847374-8323-FADC-B443-4732ABCD3781}]    <>
[{434345F1-DACF-3452-CB7D-4620F34A1534}]    <>
[{28907901-1416-3389-9981-372178569982}]    <>
[{3960356A-458E-DE24-BD50-268F589A56A3}]    <>
[{2A321487-4977-D98A-C8D5-6488257545A2}]    <>
[{5A1247C1-53DA-FF43-ABD3-345F323A48D5}]    <>
[CPushSetup]    <"C:\WINDOWS\system32\regsvr32.exe" /s "C:\Program Files\Common Files\CPUSH\cpush.dll">
[racer]    <>
[pdfSaver3]    <>
————————————————————————————————————————
打开SREngPS.EXE，选择【启动项目】-【服务】-【Win32服务应用程序】，将以下项删除：
[Telephotsgoogle / Wdswsdewn]    <C:\windows\system32\serdst.exe>
[ms_2fax / ms_2fax]    <C:\windows\system32\9e0a1.exe>
————————————————————————————————————————
打开SREngPS.EXE，选择【启动项目】-【服务】-【驱动程序】，将以下项删除：
[55yjv / 55yjv]    <\??\C:\windows\system32\drivers\55yjv.sys>
[949t / 949tl]    <\SystemRoot\System32\DRIVERS\949tl.sys>
[mxdispdr / mxdispdr]    <\??\C:\WINDOWS\system32\drivers\mxdispdr.sys>
[bootdrv / bootdrv]    <\SystemRoot\System32\Drivers\bootdrv.sys>
[acpidisk / acpidisk]    <\??\C:\windows\system32\drivers\acpidisk.sys>
————————————————————————————————————————
打开SREngPS.EXE，选择【系统修复】-【浏览器加载项】，将以下项删除：
[IE_ADS Class]    <C:\windows\system32\yg.dll>
[CAdLogic Object]    <C:\Program Files\Common Files\CPUSH\cpush.dll>
————————————————————————————————————————
打开SREngPS.EXE，选择【系统修复】-【文件关联】，将【全选】打钩，点击【修复】；
————————————————————————————————————————
打开SREngPS.EXE，选择【系统修复】-【HOSTS文件】，点击【重置】；
注意：如果是为了屏蔽某些恶意网站而自己改的HOSTS文件，那就不用修复了。
————————————————————————————————————————
上述操作全部完成后重启电脑，确保杀毒软件监控和防火墙均已经正常开启，如果不能开启可以先修复；
然后连网，升级杀毒软件到最新版本，再断网进行全盘杀毒；
再次重启电脑，查看问题是否已经解决；
如果系统能够通过正版验证，建议通过windows update给系统打全补丁，或者使用第三方工具给系统打补丁；
如果仍有问题，请使用SREng重新扫描日志，将日志上传，并详细描述新的问题现象。

1，用SREng修复以下各项：
    启动项目 －－ 服务 －－ Win32服务应用程序之如下项禁用：
[Telephotsgoogle / Wdswsdewn]   
[ms_2fax / ms_2fax]   

    启动项目 －－ 服务－－ 驱动程序之如下项禁用：
[55yjv / 55yjv]   
[949t / 949tl]   
[mxdispdr / mxdispdr]   
[mxdispdr / mxdispdr]   
[bootdrv / bootdrv]   
[acpidisk / acpidisk]   
[NetGroup Packet Filter Driver / NPF]

2.用XDelBox以抑制再生方式删除以下文件：(XDelBox1.6下载)
使用说明：删除时复制所有要删除文件的路径，在待删除文件列表里点击右键选择从剪贴板导入，导入后在要删除文件上点击右键，选择立刻重启删除，电脑会重启进入DOS界面进行删除操作。运行xdelbox前最好卸载所有可移动存储介质（包括U盘，MP3，手机存储卡等）。

c:\windows\system32\msplrct.dll
c:\windows\system32\winlib .dll
c:\windows\system32\chenhu4.ime
c:\windows\system32\kaqhlzy.dll
c:\windows\system32\avzxlmn.dll
c:\windows\system32\okmhbzy.dll
c:\windows\system32\rsmyjpm.dll
c:\windows\system32\rarjepi.dll
c:\windows\system32\serdst.exe
c:\windows\system32\9e0a1.exe
c:\windows\system32\drivers\55yjv.sys
c:\windows\system32\drivers\949tl.sys
c:\windows\system32\drivers\mxdispdr.sys
c:\windows\system32\drivers\mxdispdr.sys
c:\windows\system32\drivers\bootdrv.sys
c:\windows\system32\drivers\acpidisk.sys
c:\windows\system32\drivers\npf.sys
c:\windows\system32\yg.dll
c:\program files\common files\cpush\cpush.dll
c:\program files\common files\cpush\cpush.dll
c:\documents and settings\all users\application data\microsoft\pctools\pctools.dll

3.删除重启后使用SREng修复下面各项：

    启动项目 －－ 注册表之如下项删除：
[{C7D81718-1314-5200-2597-58790101807C}]   
[{C859245F-345D-BC13-AC4F-145D47DA34FC}]   
[{2A57CAD1-412F-9547-713F-9641FA3FC7A2}]   
[{AE32FA58-3453-FA2D-BC49-F340348ACCEA}]   
[{5598FF45-DA60-F48A-BC43-10AC47853D55}]   
[{6D47B341-43DF-4563-753F-345FFA3157D6}]   
[{7671889D-CC99-4335-BAC8-48088F1045A4}] 
[{37C3125C-9CB6-4503-8F38-63D80ADEFA07}]   
[{4D561258-45F3-A451-F908-A258458226D4}]   
[{67D81718-1314-5200-2597-587901018076}]   
[{6E32FA58-3453-FA2D-BC49-F340348ACCE6}]   
[{34783410-4F90-34A0-7820-3230ACD05F43}]   
[{66650011-3344-6688-4899-345FABCD1566}] 
[{2598FF45-DA60-F48A-BC43-10AC47853D52}]   
[{5859245F-345D-BC13-AC4F-145D47DA34F5}]   
[{5C87A354-ABC3-DEDE-FF33-3213FD7447C5}]   
[{22FAACDE-34DA-CCD4-AB4D-DA34485A3422}]   
[{18847374-8323-FADC-B443-4732ABCD3781}]   
[{434345F1-DACF-3452-CB7D-4620F34A1534}]   
[{28907901-1416-3389-9981-372178569982}]   
[{3960356A-458E-DE24-BD50-268F589A56A3}]   
[{2A321487-4977-D98A-C8D5-6488257545A2}]   
[{5A1247C1-53DA-FF43-ABD3-345F323A48D5}]   
[pdfSaver3]   
[CPushSetup]   

    系统修复－－　浏览器加载项之如下项删除：
[IE_ADS Class]
  {F8E2D735-5D21-4B00-B6DE-D82ED0CA8B63}
[CAdLogic Object]
  {11F09AFD-75AD-4E51-AB43-E09E9351CE16}
[Info cache]
  {385AB8C6-FB22-4D17-8834-064E2BA0A6F0}

    系统修复－－ HOSTS文件－－重置

4.更新杀毒软件至最新，进行全盘杀毒

首先谢谢大家帮助
我按照10楼的朋友的方法做了一下，现在把扫描结果再发一个上来。另外还有一个信息是SREng这个软件上的信息被病毒结改了。
你好，我的API　Hook检测详细信息
----------------------------------------------------
原因　　　　　API名字　  　　 危险等级　被下面模块所HOOK

入口点错误：　CreateProcessA  高　　　　未知模块。目的地址是：OxOOE8212D
入口点错误：  CreateProcessW  高　　　　未知模块。目的地址是：OxOOE82215

引用:

【孤竹浪子的贴子】首先谢谢大家帮助 我按照10楼的朋友的方法做了一下，现在把扫描结果再发一个上来。另外还有一个信息是SREng这个软件上的信息被病毒结改了。 你好，我的API　Hook检测详细信息 ---------------------------------------------------- 原因　　　　　API名字　  　　 危险等级　被下面模块所HOOK 入口点错误：　CreateProcessA  高　　　　未知模块。目的地址是：OxOOE8212D 入口点错误：  CreateProcessW  高　　　　未知模块。目的地址是：OxOOE82215 ………………

附件: 10070692008126121610.txt

日志里没看出什么。

那个入口点一般时瑞星防火墙导致的，没关系。

很多安全类软件都会导致这个。

OK
多谢诸位，已经搞定

还请诸位帮忙，瑞星杀了几回总有这两个病毒，我怀疑是可自动再生的，其路径如下：
C:\WINDOWS\system32\a.exe>>nspack>>66　　Trojan.DL.Win32.Under.w
C:\WINDOWS\system32\a.exe>>nspack>>65　　RootKit.Win32.Mnless.gp

又是这个。

这里下载费尔木马强力清除助手,勾选“抑制文件再生”删除C:\WINDOWS\system32\a.exe

http://dl.filseclab.com/down/powerrmv.zip